CVE-2026-71249 in Contact Form Plugin
Zusammenfassung
von VulDB • 05.08.2026
Das öffentliche Kontaktformular von 299Ko (plugin/contact/controllers/ContactController.php, home()) setzt rohe POST-Feldwerte (name, firstname, email, message) ohne Sanitisierung in die Seitenvorlage ein. Die Variable-Ausgabefunktion des Template-Engines (common/Template.php, _show_var()) gibt Werte aus, ohne htmlspecialchars() aufzurufen, und die Sink-Vorlage (contact.tpl) gibt diese Werte unescaped in einem HTML-Attribut und einem textarea-Feld aus. Ein nicht authentifizierter Angreifer kann ein Payload wie name="><script>alert(document.domain)</script> übermitteln, um eine reflektierte XSS gegen jeden Besucher zu erreichen, der das Formular übermittelt oder dazu verleitet wird, es automatisch abzusenden, einschließlich eines gezielten Administrators, was die Diebstahl von Session-Tokens ermöglicht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.